自动化平台能做什么
- 通过 API 连接云平台、身份系统、代码仓库、HR 系统和终端管理工具，自动收集证据
- 持续监控控制状态，例如是否所有账号都启用了 MFA、是否有未加密的存储
- 提供制度模板、员工培训与签署流程
- 管理供应商清单和风险登记册
- 与部分 CPA 事务所协作，让审计师直接在平台上查看证据
它不能做什么
- 不能替你决定范围、设计适合你业务的控制
- 不能替员工执行控制，例如实际执行访问审查、事件复盘
- 平台模板写得再好，与实际不一致的制度反而会成为审计问题
- 不能替代独立 CPA 或认证机构
四个判断角度
| 角度 | 更适合用平台 | 可以不用 |
|---|---|---|
| 技术栈 | 主要使用 AWS、GCP、Azure、Okta、GitHub 等平台已集成的海外服务 | 主要使用国内云和国内 SaaS，集成覆盖有限 |
| 规模 | 员工 50 人以上，系统多，人员流动频繁 | 小团队，系统少，责任人清楚 |
| 框架数量 | 计划同时维护 SOC 2、ISO 27001、HIPAA 等多个框架 | 只做一个框架 |
| 预算与周期 | 愿意持续订阅，重视长期维护效率 | 预算有限，偏好一次性投入 |
选型时要问的问题
- 你的主要系统是否在平台的集成列表中？国内云、国内 SaaS 能否接入？
- 平台会访问哪些数据？数据存放在哪里？是否涉及跨境传输？
- 合同到期后，证据和制度能否完整导出？
- 你选的 CPA 或认证机构是否熟悉该平台？
- 订阅价格如何随员工数和框架数增长？
我们不捆绑销售任何工具，会在差距评估后根据你的实际情况给出建议。